non riesco ad eliminare CrackSpider (rilevato da Ad-Aware)

[roccia27]

Ogni volta che avvio la scansione di Ad-Aware mi rileva questo malware:

Name:CrackSpider
Category:Malware
Object Type:RegValue
Size:4 Bytes
Location:...\software\microsoft\internet explorer\extensions\cmdmapping "{10954C80-4F0F-11d3-B17C-00C0DFE39736}"
Last Activity:05-06-2006
Relevance:Low
TAC index:4
Comment:"{10954C80-4F0F-11d3-B17C-00C0DFE39736}"
Description:No uninstaller. Browser Hijacker. Opens pop up ads.

dico di eliminarlo ma basta riavviare win che torna.. come devo fare per eliminarlo definitivamente?!

Thanks

Che processi hai in avvio?

(Start-->Esegui-->Msconfig)

[roccia27]

ci perderò un po' cmq sono:

systray
hpztsb08 (stampanteHP)
mmkeybd (tastiera con i tasti in più...)
nerocheck
vm_sti (webcam)
nvcpl <-- mi puzza!!!
nwiz (dovrebbe essere il chip della sk.video nvidia)
nvmctray <-- altro ke mi puzza!!!
anvshell (sk.video asus)
hpwuschd2 (HP)
jusched (roba di java ma non so se sia buona o meno!!!)
avgnt (antivir)
ipoint (intellipoint)
cpf (firewall)
clptray (firewall)
ctfmon (ms office)
msmsgs (messanger)
poppeeper (email monitor)
traymin (webcam)
microsoft office

cosa dovrei fare?! cosa li genera visto che con adaware li cancello e poi torna?!

[andorra24]

Posta un log di hijackthis.

[roccia27]

dovrei aver risolto ma non so quanto durerà... ai miei primi test di riavvio pare l'abbia tolto!!!

togliendo nvcpl dall'avvio di msconfig al successivo riavvio di win ricompariva.. la voce fa riferimento al file nvcpl.dll

- fatto una ricerca e di file ne esistono 2 (uno è il file di backup casomai mancasse l'altro) più relativi file guida (.hlp)
- rinominato i due file nvcpl.dll in nvcpl.dll.bkp (fatto backup anzikè eliminarli: si sa mai ke servissero...)
- tolta la spunta nell'avvio di msconfig (nel frattempo mi si era rigenerata perchè avevo riavviato)
- fatto un giro di ccleaner per pulire nel file di registro ogni possibile riferimento ai dll (ne ha trovati diversi!!!)
- riavviato il pc ed ora è pulito sia nell'msconfig (la voce non si è rigenerata!) che per ad-aware!!!

durerà?! incrocio le dita

Grazie ragazzi: ottimo supporto!

PS ho eliminato anche dall'avvio di msconfig l'altro file che mi insospettiva... serviva?! uhm...

[roccia27]

sapevo di aver cantato vittoria troppo presto....

allora il file dll detto non è più nell'avvio quindi la sua autogenerazione è risolta... ma il crackspider c'è ancora... uff!!!



da dove arriverà?! considerando anke ke intacca msIE ke ho disinstallato già da tempo... misteri!!!

[andorra24]

Fai una scansione con ewido anti-malware:
http://download.ewido.net/ewido-setup.exe

se ancora non risolvi posta il log di hijackthis e controlliamo.

[roccia27]

niente, non se ne va! mi viene un dubbio xò ke sia qlc ke ad-aware scambia x spyware ma ke nn sia niente di male... dalla descrizione del sito della lavasoft sembrerebbe qualcosa di innocuo x la privacy, che aggiunge link in preferiti, cambia motore di ricerca e apre pop-up in explorer (http://www.lavasoftnews.com/ms/displ...ac=CrackSpider)... ma io uso maxthon (MyIE2)... mah...

cmq ecco il log di hijackthis:

Logfile of HijackThis v1.99.1
Scan saved at 20.11.49, on 05/06/2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\Comodo Firewall\Personal Firewall\cmdagent.exe
C:\Programmi\ewido anti-malware\ewidoctrl.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb0 8.exe
C:\WINDOWS\System32\alg.exe
C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\WINDOWS\VM_STI.EXE
C:\WINDOWS\anvshell.exe
C:\Programmi\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\Microsoft IntelliPoint\ipoint.exe
C:\Programmi\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Programmi\Netropa\Onscreen Display\OSD.exe
C:\Programmi\Comodo\LaunchPad\CLPTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Messenger\msmsgs.exe
C:\Programmi\POP Peeper\POPPeeper.exe
C:\Programmi\Philips\SPC 200NC PC Camera\TrayMin.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Documents and Settings\Marco\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///c:/Documents%20and%20Settings/Marco/Documenti/igo505/index.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://gw.aliceadsl.it/home
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=55245&clcid={SUB_CLCID}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\SYSTEM\blank.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer fornito da Alice
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\AcrobatReader\ActiveX\AcroIEHelper.dl l
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programmi\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programmi\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb0 8.exe
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Programmi\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE Philips SPC 200NC PC Camera
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [anvshell] anvshell.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Programmi\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programmi\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programmi\Microsoft IntelliPoint\ipoint.exe"
O4 - HKLM\..\Run: [Comodo Personal Firewall] C:\Programmi\Comodo Firewall\Personal Firewall\CPF.exe sysrestart
O4 - HKLM\..\Run: [Comodo Launch Pad Tray] C:\Programmi\Comodo\LaunchPad\CLPTray.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [POP Peeper] "C:\Programmi\POP Peeper\POPPeeper.exe" -min
O4 - Global Startup: TrayMin.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programmi\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: &Cerca con Google - res://C:\Programmi\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Clean Traces - C:\Programmi\DAP\Privacy Package\dapcleanerie.htm
O8 - Extra context menu item: &Download with &DAP - C:\Programmi\DAP\dapextie.htm
O8 - Extra context menu item: &Traduci parola in italiano - res://C:\Programmi\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Download &all with DAP - C:\Programmi\DAP\dapextie2.htm
O8 - Extra context menu item: Link a ritroso - res://C:\Programmi\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pagine simili - res://C:\Programmi\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Versione cache della pagina - res://C:\Programmi\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programmi\Messenger\msmsgs.exe
O9 - Extra button: Alice - {F636C180-C9B8-11DA-B442-932CC136AA65} - http://gw.aliceadsl.it/alice (file missing) (HKCU)
O16 - DPF: {C1B7E532-3ECB-4E9E-BB3A-2951FFE67C61} - http://c6.community.virgilio.it/down...derActiveX.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{4E6C563E-5DFB-4497-B4B2-399A111375BC}: NameServer = 85.37.17.6 85.38.28.89
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programmi\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programmi\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Comodo Application Agent (CmdAgent) - COMODO - C:\Programmi\Comodo Firewall\Personal Firewall\cmdagent.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programmi\ewido anti-malware\ewidoctrl.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programmi\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: %NVSVC.name% (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe


mi sembrano regolarmente tutti i miei programmi ma è la prima volta ke vedo hijackthis e nn lo conosco...

[andorra24]

Prova a fixare queste 2 voci:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///c:/Documents%20and%20Settings/Marco/Documenti/igo505/index.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\SYSTEM\blank.htm

metti la spunta nella casellina accanto a queste voci e premi ''fix checked''.

http://www.f-secure.com/sw-desc/crackspider.shtml

Dice che questo Malware dirotta le pagine web, che aggiunge un icona nella barra di internet explorer che linka al sito "infetto" (o una barra) e inoltre permete la diffusione di codice maligno.

Ti capita qualche dirottamento mentre navighi in internet (stile, digiti www.google.it e ti ritrovi da un'altra parte)?

[roccia27]

a volte la barra di google in Maxthon mi porta in altri motori di ricerca.. solo questo! nessun altro effetto ma appunto io nn uso internet explorer..
Le voci che mi hai detto di fissare sono:
- la prima la mia pagina iniziale che ho fatto io stesso e che è salvata in documenti
- la seconda mi sembra l'impostazione della pag vuota

altro di insolito non c'è?!

[andorra24]

Prova a ripetere la scansione con Adaware in modalita' provvisoria.

[roccia27]

Risolto!!!

Grazie ragazzi

[andorra24]

Originariamente inviato da roccia27
Risolto!!!

Grazie ragazzi

Molto bene.